{"id":15669,"date":"2018-01-18T14:54:25","date_gmt":"2018-01-18T12:54:25","guid":{"rendered":"https:\/\/www.kaspersky.de\/blog\/?p=15669"},"modified":"2018-01-19T09:23:09","modified_gmt":"2018-01-19T07:23:09","slug":"https-does-not-mean-safe","status":"publish","type":"post","link":"https:\/\/www.kaspersky.de\/blog\/https-does-not-mean-safe\/15669\/","title":{"rendered":"HTTPS ist keine Garantie f\u00fcr Sicherheit"},"content":{"rendered":"

Seien wir ehrlich! Die meisten Leute, die ein kleines gr\u00fcnes Schloss mit dem Wort \u201eSicher\u201c links neben einer URL-Adresse entdecken, denken automatisch, die Seite sei sicher. Das Gleiche passiert, wenn sie den Satz \u201ediese Seite verwendet eine sichere Verbindung\u201c lesen oder auf eine URL sto\u00dfen, die mit den Buchstaben \u201ehttps\u201c beginnt. Immer mehr Websites wechseln heutzutage zu HTTPS. Die meisten haben tats\u00e4chlich keine andere Wahl. Also, wo liegt das Problem? Je sicherer Websites sind, desto besser \u2013 oder etwa nicht?\"\"<\/a><\/p>\n

Wir wollen Sie in eines unserer vielen kleinen Geheimnisse einweihen: Weder das Wort \u201eSicher\u201c noch das Schloss garantieren, dass eine Website vor allen Bedrohungen gesch\u00fctzt ist. Eine Phishing-Seite kann beispielsweise das ach so beruhigende gr\u00fcne Schloss neben ihrer https-Adresse legitim anzeigen. Was geht da vor sich? Lassen Sie es uns herausfinden!<\/p>\n

\u201eSichere Verbindung\u201c bedeutet nicht gleichzeitig \u201esichere Website\u201c<\/strong><\/h2>\n

Das kleine gr\u00fcne Schloss bedeutet, dass f\u00fcr die jeweilige Website ein Zertifikat ausgestellt und gleichzeitig ein kryptografischer Schl\u00fcssel f\u00fcr sie generiert wurde. Solche Websites verschl\u00fcsseln Informationen, die zwischen Ihnen und der Seite \u00fcbertragen werden. In diesem Fall beginnen die Seiten-URLs mit HTTPS, wobei das \u201eS\u201c am Ende f\u00fcr \u201eSicher\u201c steht.<\/p>\n

Nat\u00fcrlich ist es eine tolle Sache, Daten bei der \u00dcbertragung zu verschl\u00fcsseln. Das bedeutet n\u00e4mlich, dass Informationen, die zwischen Ihrem Browser und der Website ausgetauscht werden, nicht f\u00fcr Dritte zug\u00e4nglich sind \u2013 ISPs, Netzwerkadministratoren, Eindringlinge, usw. So k\u00f6nnen Sie beispielsweise Passw\u00f6rter oder Kreditkarteninformationen eingeben, ohne sich um neugierige Blicke sorgen zu m\u00fcssen.<\/p>\n

Immer mehr Cyberkriminelle verwenden HTTPS-Phishing Webseiten.<\/p>Tweet<\/a><\/blockquote>\n

Das Problem besteht allerdings darin, dass weder das gr\u00fcne Schloss noch das ausgestellte Zertifikat etwas \u00fcber die Website an sich aussagen. Eine Phishing-Seite kann, genauso wie jede andere Website, ein Zertifikat erhalten und den Datenverkehr zwischen Ihnen und der Seite verschl\u00fcsseln.<\/p>\n

Mit anderen Worten: Das gr\u00fcne Schloss stellt sicher, dass kein anderer<\/em> Ihre eingegebenen Daten ausspionieren kann. Sollte es sich bei der Seite allerdings um einen Fake handeln, kann diese sich trotzdem an Ihrem Passwort zu schaffen machen.<\/p>\n

Und Phisher nutzen genau das aktiv aus: Phishlabs zufolge<\/a> wird heutzutage ein Viertel aller Phishing-Attacken auf HTTPS-Seiten durchgef\u00fchrt (vor zwei Jahren waren es noch weniger als 1 Prozent). Dar\u00fcber hinaus glauben mehr als 80 Prozent der Benutzer<\/a>, dass die blo\u00dfe Anwesenheit eines kleinen gr\u00fcnen Schlosses und das Wort \u201eSicher\u201c neben der URL-Adresse bedeuten, dass die Website legitim und sicher ist und folglicherweise auch nicht wirklich nachdenken, bevor sie ihre Daten eingeben.<\/p>\n

Was, wenn das Schloss nicht gr\u00fcn ist?<\/strong><\/h3>\n

Wenn Sie kein Schloss in der Adressleiste finden k\u00f6nnen, bedeuetet das, dass die Website keine Verschl\u00fcsselung verwendet und Informationen mit Ihrem Browser unter der Verwendung von Standard-HTTP ausgetauscht werden. Google Chrome hat damit begonnen, derartige Websites als unsicher zu markieren. Sie k\u00f6nnten zwar vollkommen legitim sein, verschl\u00fcsseln aber den Datenverkehr zwischen Ihnen und dem Server nicht. Die meisten Besitzer einer Website m\u00f6chten nat\u00fcrlich nicht, dass Google ihre Website als unsicher markiert, sodass zunehmend mehr Personen auf HTTPS umsteigen. Ihre Daten auf einer HTTP-Seite einzugeben, ist also eine keine besonders gute Idee.<\/p>\n

Die zweite Variante, die Sie vielleicht schon des \u00d6fteren gesehen hab, ist ein rot durchkreuztes Schloss-Symbol mit den Buchstaben HTTPS, ebenfalls in roter Schrift. Mag hei\u00dfen, dass die Website zwar \u00fcber ein Zertifikat verf\u00fcgt, dieses aber nicht best\u00e4tigt wurde oder veraltet ist. Das hei\u00dft, die Verbindung zwischen Ihnen und dem Server ist verschl\u00fcsselt, aber niemand kann garantieren, dass die Domain auch wirklich zu dem auf der Seite angegebenen Unternehmen geh\u00f6rt. Hier sollten bei Ihnen die Alarmglocken klingeln. Normalerweise werden solche Zertifikate allerdings nur zu Testzwecken verwendet.<\/p>\n

Wenn das Zertifikat abgelaufen ist und der Inhaber der Website es bislang noch nicht erneuert hat, wird die Seite alternativ von den Browsern mit einer deutlich sichtbaren, roten Warnung als unsicher markiert. Diese Seiten sollten Sie vermeiden!<\/p>\n

So tappen Sie nicht in die Falle\u00a0<\/strong><\/h3>\n

Zusammenfassend bedeuten das Zertifikat und das gr\u00fcne Schloss nur, dass die zwischen Ihnen und der Seite \u00fcbertragenen Daten verschl\u00fcsselt werden und das Zertifikat von einer vertrauensw\u00fcrdigen Zertifizierungsstelle ausgestellt wurde. Es bedeutet allerdings nicht, dass eine HTTPS-Seite absolut sicher ist. Diese Tatsache wird oft und gerne von Phishing-Betr\u00fcgern ausgenutzt.<\/p>\n

Halten Sie demnach immer die Augen offen, egal wie sicher eine Seite auf den ersten Blick scheint.<\/p>\n